Страхование киберрисков для малого бизнеса: есть ли смысл

MAATRIX

Владелец небольшого интернет-магазина или сервиса рано или поздно натыкается на предложение застраховаться от киберрисков — обычно после чужой громкой утечки в новостях или собственного испуга от фишингового письма. Вопрос звучит просто: платить ли за полис, если у меня и так есть бэкапы и антивирус? Разберёмся методично, без продажи конкретной страховки — что это вообще за инструмент, что он реально закрывает, а что нет, и как посчитать, нужен ли он именно вам.

Что такое киберстрахование в общих чертах

Cyber insurance — это отдельный класс страхования, который появился как ответ на то, что традиционные полисы (имущество, ответственность) плохо описывают цифровые инциденты: утечку данных, шифрование вымогателем, взлом с последующим мошенничеством. Формально это финансовый инструмент — он не чинит сервер и не ловит хакера, он покрывает часть расходов, которые возникают после того, как инцидент уже случился.

Важно сразу разделить два непересекающихся понятия:

• Техническая защита — то, что снижает вероятность инцидента и его тяжесть: бэкапы, мониторинг, обновления, firewall, MFA.
• Финансовая защита — то, что компенсирует часть ущерба, когда инцидент всё же произошёл несмотря на защиту.

Страховка — это второе. Она никогда не заменяет первое, и любой вменяемый страховщик подтвердит это на словах. Дальше — детали, но эту рамку стоит держать в голове на протяжении всей статьи.

Оговорка сразу: ниже описаны типовые, общие для рынка формулировки покрытия — не условия конкретного продукта конкретной компании. Реальные полисы сильно различаются по лимитам, исключениям и франшизам, и точный набор условий узнаётся только у конкретного страховщика или брокера.

Что обычно покрывают такие полисы (в общих чертах)

Раздел ниже — описательный обзор типичной структуры покрытия, встречающейся на рынке cyber insurance. Это не гарантия того, что именно такой набор будет в конкретном полисе, который вам предложат.

Расходы на реагирование на инцидент. Это первая линия, ради которой малый бизнес чаще всего и рассматривает такую страховку:

• криминалистическая экспертиза (форензика) — привлечение специалистов, которые разбираются, что произошло, как злоумышленник попал внутрь, какие данные затронуты;
• юридическое сопровождение — консультации о том, какие у компании обязательства по уведомлению регулятора и пострадавших, как формулировать публичные заявления, чтобы не усугубить ответственность;
• иногда — услуги PR-агентства для управления репутационным ущербом в моменте.

Расходы на уведомление пострадавших. Если утекли персональные данные клиентов, во многих юрисдикциях есть обязанность уведомить пострадавших и/или регулятора в определённый срок. Рассылка уведомлений (почта, звонки, колл-центр), иногда — оплата кредитного мониторинга для пострадавших клиентов на ограниченный срок. Для бизнеса с базой в десятки тысяч записей это само по себе не копеечная статья расходов, даже без учёта дальнейших последствий.

Покрытие требований третьих лиц. Сюда обычно относят:

• судебные иски от клиентов или партнёров, которые понесли ущерб из-за утечки или простоя;
• в некоторых юрисдикциях и не для всех типов санкций — регуляторные штрафы (важная оговорка: страхование штрафов допустимо не везде и не всегда — это вопрос конкретного законодательства и конкретного полиса, уточняйте у юриста и страховщика).

Покрытие бизнес-простоя. В части полисов есть строка про потерю дохода из-за недоступности сервиса — например, если шифровальщик остановил работу интернет-магазина на несколько дней. Это скорее опция, которая заметно поднимает стоимость полиса и требует внятной оценки среднедневной выручки — для малого бизнеса не всегда экономически оправданная строка (см. методику ниже).

Ещё раз: конкретный набор пунктов, лимиты по каждому и список исключений — это то, что должен зафиксировать сам полис. Общая обзорная логика выше не заменяет чтение договора.

Методика: сравнить стоимость полиса со стоимостью базовой гигиены

Прежде чем считать полис, стоит честно ответить на вопрос: а закрыты ли у вас базовые технические меры? Страховка без базовой гигиены — это финансовая подушка под растущий риск, а не разумное распределение бюджета.

Практический порядок расчёта:

1. Посчитайте стоимость базовых мер, если их ещё нет. Автоматические бэкапы с проверкой восстановления, мониторинг доступности и ресурсов, регулярные обновления безопасности, разграничение доступа — это обычно на порядок дешевле годовой премии по страховке для того же уровня риска. Если у вас этого нет — деньги в первую очередь сюда, а не в полис.

1. Оцените вероятный ущерб без защиты. Грубая оценка: сколько стоит день простоя (недополученная выручка + репутационные звонки от клиентов), сколько записей персональных данных в базе и во сколько обойдётся их утечка по нижней границе (уведомления + возможный штраф, если применимо в вашей юрисдикции).

1. Сравните премию полиса с этой оценкой, а не с абстрактным "а вдруг". Если ожидаемый годовой ущерб (вероятность инцидента × его стоимость) сопоставим или выше стоимости премии — страхование рационально. Если несопоставимо ниже (у вас статический сайт-визитка без персональных данных и без онлайн-платежей) — вероятно, деньги эффективнее потратить на технические меры или вообще не тратить.

1. Учтите, что у вас, вероятно, уже нет выбора без технических мер. Многие страховщики требуют подтверждения минимального уровня защиты как условие полиса — это не бюрократическая прихоть, а часть их собственной оценки риска. Типичные условия (общими словами, не как гарантия конкретного полиса): наличие резервного копирования с проверенным восстановлением, MFA для административного доступа, актуальные обновления безопасности, сегментация сети. По сути, оформление страховки само по себе становится стимулом навести порядок — заполнение анкеты андеррайтера часто и есть тот самый аудит, который руки не доходили провести самостоятельно.

Ниже — упрощённая таблица для прикидки порядка величин (условные ориентиры, не измеренные цифры конкретного рынка — у вас будет иначе в зависимости от отрасли, объёма данных и юрисдикции):

Технические меры, которые страховщик, скорее всего, спросит в первую очередь

Раз андеррайтинг всё равно упирается в базовую гигиену, разумно закрыть её независимо от решения по страховке — это снижает и вероятность инцидента, и стоимость самой премии (страховщики обычно предлагают более низкую ставку при подтверждённой зрелости защиты).

Минимальный набор, который стоит иметь до разговора со страховым брокером:

• Резервное копирование с регулярной проверкой восстановления, а не только "бэкап есть, но никогда не пробовали поднять из него сервис". Это регулярно оказывается больным местом — если бэкапы шли годами, но ни разу не проверялись, есть неплохой шанс, что при реальном инциденте они окажутся нерабочими.
• Мониторинг доступности и ресурсов, чтобы инцидент был замечен быстро, а не через недели простоя.
• Регулярные обновления безопасности ОС и приложений — автоматизированные, а не "когда руки дойдут".
• План реагирования на инцидент, оформленный заранее — кто звонит кому, что отключается в первую очередь, куда обращаться. Наличие такого плана до инцидента резко сокращает и ущерб, и время простоя.

Если план реагирования на инцидент ещё не описан на бумаге, разумно сделать это заранее — подробный разбор шагов есть в статье план реагирования на инцидент: что делать при взломе. Общий чек-лист базовой защиты нового сервера — в статье чек-лист безопасности нового сервера, а настройка автоматических обновлений безопасности — в статье как установить и настроить автообновления безопасности на VPS.

Честные ограничения: чего страховка не делает

Разговор о страховании киберрисков был бы нечестным без списка того, что она принципиально не решает.

• Не предотвращает инцидент. Полис не мешает злоумышленнику зашифровать базу или украсть данные — он платит по счетам после факта. Если базовой защиты нет, страховка не снижает вероятность самого события, только частично компенсирует его финансовые последствия.
• Не восстанавливает репутацию и доверие клиентов. Компенсация юридических расходов не возвращает клиентов, которые ушли к конкуренту после новости об утечке их данных. Репутационный урон — тот вид ущерба, который деньгами не чинится напрямую, а страховка, покрывающая PR-услуги, лишь смягчает, а не отменяет этот эффект.
• Не восстанавливает уникальные данные. Если шифровальщик уничтожил единственную копию базы клиентов, а бэкапов не было, страховка оплатит форензику и, возможно, юридическое сопровождение — но не вернёт сами данные. Это единственная причина, по которой бэкапы остаются приоритетом номер один вне зависимости от наличия полиса.
• Не покрывает всё подряд. У полисов есть исключения, лимиты по каждой статье, франшиза (сумма, которую компания платит из своего кармана до включения страховки), и нередко — требование доказать соблюдение заявленных при оформлении технических мер. Если андеррайтер увидит, что заявленный MFA на самом деле не был включён, это законный повод отказать в выплате.
• Разбирательство по выплате занимает время. Пока идёт оценка ущерба и переписка со страховщиком, бизнесу всё равно нужно на что-то жить и на что-то восстанавливать инфраструктуру. Страховка — это компенсация постфактум, а не мгновенная подушка на день инцидента.

Практический вывод: когда это действительно стоит рассматривать

Если сложить всё сказанное выше, вывод получается не бинарный "да" или "нет", а условный:

• Если бизнес обрабатывает персональные данные клиентов в заметном объёме, принимает онлайн-платежи или сильно зависит от аптайма сервиса — киберстрахование стоит рассмотреть как часть общей стратегии риск-менеджмента. Не вместо технических мер, а в дополнение к ним, как финансовую защиту от остаточного риска — того, что остаётся даже после нормально выстроенной защиты.
• Если это статический сайт-визитка без персональных данных и без платежей — вероятность того, что премия себя оправдает, обычно ниже, и бюджет эффективнее направить на базовую техническую гигиену, если её ещё нет.
• В любом случае порядок действий один и тот же: сначала закрыть базовые меры (бэкапы с проверкой восстановления, мониторинг, обновления, план реагирования), потом уже разговаривать со страховым брокером о конкретных условиях — так и премия будет ниже, и разговор предметнее.

Если персональные данные клиентов — часть вашей повседневной работы, стоит заодно свериться с требованиями законодательства: обзор для небольшого сайта есть в статье 152-ФЗ простыми словами для небольшого сайта — регуляторный контекст напрямую влияет на то, какие расходы вообще может закрыть страховка в вашей юрисдикции.

Частые вопросы